云計(jì)算環(huán)境下虛擬化服務(wù)器的安全研究

王煥民，裴華艷

（1.蘭州交通大學(xué) 機(jī)電技術(shù)研究所，蘭州 730070；2.甘肅廣播電視大學(xué) 教務(wù)處，蘭州 730030）

云計(jì)算環(huán)境下虛擬化服務(wù)器的安全研究

王煥民1，裴華艷2

（1.蘭州交通大學(xué) 機(jī)電技術(shù)研究所，蘭州 730070；2.甘肅廣播電視大學(xué) 教務(wù)處，蘭州 730030）

將系統(tǒng)虛擬化技術(shù)應(yīng)用在服務(wù)器上，就可以在一臺(tái)物理服務(wù)器上虛擬出多個(gè)虛擬服務(wù)器，從而提高物理服務(wù)器的利用率。通過分析云計(jì)算環(huán)境和虛擬化為服務(wù)器帶來的網(wǎng)絡(luò)安全、數(shù)據(jù)安全和信息泄露等新的安全風(fēng)險(xiǎn)，針對(duì)各類安全問題給出了有效的安全防護(hù)措施，有助于保護(hù)云計(jì)算環(huán)境下虛擬化服務(wù)器的安全。

云計(jì)算；服務(wù)器虛擬化；安全

虛擬化是云計(jì)算的重要支撐技術(shù)之一，可以將IT資源進(jìn)行邏輯抽象形成資源池，以服務(wù)的方式交付給用戶。服務(wù)器虛擬化是將系統(tǒng)虛擬化技術(shù)應(yīng)用在服務(wù)器上，通過將一臺(tái)物理服務(wù)器虛擬為多個(gè)虛擬服務(wù)器，提高硬件服務(wù)器的利用率，以降低運(yùn)營(yíng)成本。但是，為了滿足服務(wù)器虛擬化的要求，需要改變系統(tǒng)原有的網(wǎng)絡(luò)架構(gòu)。同時(shí)，云計(jì)算獨(dú)特的虛擬化計(jì)算環(huán)境使之不同于傳統(tǒng)的IT環(huán)境[1]，這兩者為虛擬化服務(wù)器帶來了不同于傳統(tǒng)的安全風(fēng)險(xiǎn)。

1 云計(jì)算與虛擬化

1.1 云計(jì)算

云計(jì)算能夠?qū)⒋罅糠稚⒌牡投擞?jì)算資源聯(lián)合起來，構(gòu)成資源池統(tǒng)一提供服務(wù)，用戶只需按需付費(fèi)使用各類資源，不必關(guān)心 “云”是如何實(shí)現(xiàn)的。美國(guó)加州大學(xué)伯克利分校對(duì)云計(jì)算的定義為：云計(jì)算既指在互聯(lián)網(wǎng)上以服務(wù)的形式提供的應(yīng)用[2]，也指數(shù)據(jù)中心提供服務(wù)的硬件和軟件。在云計(jì)算中，用戶通過互聯(lián)網(wǎng)以服務(wù)的方式獲取“云”中的硬件和軟件資源，而云計(jì)算根據(jù)用戶的需要?jiǎng)討B(tài)地?cái)U(kuò)展、配置和供給各類計(jì)算資源。

云計(jì)算需要運(yùn)用虛擬化技術(shù)、大規(guī)模分布式存儲(chǔ)技術(shù)、多租戶技術(shù)以及海量數(shù)據(jù)處理等重要技術(shù)。其中，虛擬化是實(shí)現(xiàn)云計(jì)算的重要基礎(chǔ)，主要用于實(shí)現(xiàn)軟件應(yīng)用與底層硬件的分離以及各類資源的邏輯抽象。

1.2 虛擬化技術(shù)

虛擬化技術(shù)能夠在底層硬件和上層應(yīng)用之間提供一個(gè)抽象層，使上層應(yīng)用運(yùn)行在虛擬化的底層物理資源之上。IBM對(duì)虛擬化的定義是：虛擬化是資源的邏輯表示，不受物理限制的約束，以一種透明的方式提供抽象的底層資源[2]。虛擬化技術(shù)能夠在單個(gè)物理設(shè)備上虛擬出多個(gè)相互獨(dú)立且共存的虛擬執(zhí)行環(huán)境（即虛擬機(jī)Virtual Machine），每個(gè)虛擬機(jī)能夠運(yùn)行不同的操作系統(tǒng)和應(yīng)用服務(wù)。

目前，常用的虛擬化技術(shù)有系統(tǒng)虛擬化、基礎(chǔ)設(shè)施虛擬化和軟件虛擬化等。其中，系統(tǒng)虛擬化能夠?qū)崿F(xiàn)物理硬件與操作系統(tǒng)的分離[2]，使一臺(tái)物理機(jī)同時(shí)運(yùn)行多個(gè)虛擬操作系統(tǒng)，這些操作系統(tǒng)相互獨(dú)立，并行運(yùn)行，同時(shí)復(fù)用物理機(jī)資源。

1.3 服務(wù)器虛擬化

由于安全性、可靠性和性能等因素的影響，每個(gè)物理服務(wù)器只能同時(shí)運(yùn)行一個(gè)應(yīng)用服務(wù)，服務(wù)器的利用率較低。如果能夠?qū)⒁慌_(tái)物理服務(wù)器虛擬為多個(gè)虛擬服務(wù)器，使每個(gè)虛擬服務(wù)器運(yùn)行不同的應(yīng)用服務(wù)，就可以減少物理服務(wù)器的數(shù)量、降低硬件開銷并節(jié)省存儲(chǔ)空間。

服務(wù)器虛擬化將系統(tǒng)虛擬化技術(shù)應(yīng)用于服務(wù)器，通過將物理資源抽象成邏輯資源，使單一物理服務(wù)器同時(shí)運(yùn)行多個(gè)虛擬服務(wù)器，這些虛擬服務(wù)器共享同一物理機(jī)的所有資源。圖1所示為服務(wù)器虛擬化前后的變化對(duì)比[2]：虛擬化之前，3種不同的應(yīng)用服務(wù)分別運(yùn)行在3臺(tái)獨(dú)立的物理服務(wù)器上；虛擬化之后，3種應(yīng)用服務(wù)各自運(yùn)行在由同一物理服務(wù)器虛擬出的3個(gè)虛擬服務(wù)器上。

圖1 服務(wù)器虛擬化

2 虛擬化服務(wù)器面臨的安全風(fēng)險(xiǎn)

2.1 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

在傳統(tǒng)網(wǎng)絡(luò)架構(gòu)模式下，每臺(tái)物理服務(wù)器都擁有一套獨(dú)立的安全管理策略，外圍又部署了防火墻、網(wǎng)關(guān)、WAF等安全防護(hù)設(shè)備[3]。采用虛擬化技術(shù)之后，一臺(tái)物理服務(wù)器被虛擬為多個(gè)虛擬服務(wù)器，幾十個(gè)操作系統(tǒng)或應(yīng)用程序同時(shí)部署在一個(gè)物理服務(wù)器上，虛擬服務(wù)器共享同一物理服務(wù)器的硬件資源，網(wǎng)絡(luò)架構(gòu)發(fā)生了改變，在物理環(huán)境部署的基于網(wǎng)絡(luò)的防火墻或者入侵防御系統(tǒng)無法查看在相同硬件環(huán)境中部署的虛擬機(jī)之間傳輸?shù)牧髁?，?dāng)一個(gè)虛擬機(jī)被攻擊后，安全威脅會(huì)通過網(wǎng)絡(luò)蔓延至其他虛擬機(jī)。

2.2 數(shù)據(jù)安全風(fēng)險(xiǎn)

服務(wù)器虛擬化之后，不同虛擬服務(wù)器的數(shù)據(jù)都存儲(chǔ)在同一個(gè)共享的物理存儲(chǔ)設(shè)備中，當(dāng)一個(gè)服務(wù)器的數(shù)據(jù)遭受攻擊后，在沒有嚴(yán)格數(shù)據(jù)隔離的情況下，其他服務(wù)器的數(shù)據(jù)也可能遭受侵害。在虛擬化平臺(tái)中，虛擬服務(wù)器可以執(zhí)行新建、刪除、遷移等操作，這些功能為平臺(tái)的管理帶來了便利性，同時(shí)為容災(zāi)備份和高可用性提供了多種實(shí)現(xiàn)手段，但是，所有操作都會(huì)留下數(shù)據(jù)痕跡，這些痕跡會(huì)帶來安全隱患。同時(shí)，虛擬化之后，存儲(chǔ)過虛擬機(jī)數(shù)據(jù)的存儲(chǔ)空間被回收后，可以被重新分配給其他虛擬機(jī)[4]，虛擬化平臺(tái)很難確保存儲(chǔ)資源被重新分配之后，先前的敏感信息是否依然存有殘留，這也將帶來安全隱患。

2.3 遷移導(dǎo)致的信息泄露

由于虛擬化技術(shù)能夠?qū)⒌讓佑布蜕蠈討?yīng)用分離，故可以對(duì)虛擬服務(wù)器進(jìn)行復(fù)制、備份和遷移等操作，甚至可以將一個(gè)正在運(yùn)行的虛擬服務(wù)器遷移至其他物理機(jī)（即動(dòng)態(tài)遷移），動(dòng)態(tài)遷移時(shí)，用戶對(duì)虛擬服務(wù)器的訪問不受影響。但是，遷移會(huì)帶來一定的安全隱患，通過獲取虛擬機(jī)控制器的管理權(quán)限，攻擊者就可以復(fù)制或遷移運(yùn)行重要服務(wù)的虛擬機(jī)。在操作過程中，虛擬磁盤會(huì)被重新創(chuàng)建并重新配置虛擬機(jī)的屬性和特性，且有足夠的時(shí)間來研究和破解虛擬機(jī)原有的安全防護(hù)體系[1]，而整個(gè)過程無人察覺。攻擊者還可以用復(fù)制遷移后的副本虛擬機(jī)替換原有虛擬機(jī)投入運(yùn)行，或者在另一個(gè)虛擬化平臺(tái)進(jìn)行還原，從而獲取虛擬機(jī)上的重要數(shù)據(jù)；還可以將重要虛擬機(jī)遷移至不安全的物理主機(jī)上，從而帶來安全風(fēng)險(xiǎn)。

2.4 補(bǔ)丁更新安全風(fēng)險(xiǎn)

虛擬機(jī)補(bǔ)丁帶來的安全風(fēng)險(xiǎn)主要有2類：（1）補(bǔ)丁更新管理的進(jìn)度跟不上虛擬機(jī)使用的需要。虛擬化技術(shù)將單個(gè)物理服務(wù)器虛擬為多個(gè)虛擬服務(wù)器，與物理服務(wù)器一樣，每個(gè)虛擬服務(wù)器都需要補(bǔ)丁管理和日常維護(hù)。隨著需要管理的虛擬服務(wù)器的數(shù)量不斷增長(zhǎng)，補(bǔ)丁修復(fù)問題也成倍上升，導(dǎo)致有些虛擬機(jī)未能及時(shí)更新補(bǔ)丁，從而帶來安全隱患。（2）作為標(biāo)準(zhǔn)鏡像存儲(chǔ)在異地離線庫(kù)中的虛擬鏡像啟用后，由于其系統(tǒng)補(bǔ)丁、病毒庫(kù)和應(yīng)用軟件均未更新，在快照還原時(shí)會(huì)帶來安全風(fēng)險(xiǎn)。

3 虛擬化服務(wù)器的安全風(fēng)險(xiǎn)對(duì)策

3.1 保護(hù)網(wǎng)絡(luò)安全

針對(duì)服務(wù)器虛擬化之后網(wǎng)絡(luò)架構(gòu)改變帶來的安全風(fēng)險(xiǎn)，較為便捷的一種防護(hù)措施是在每個(gè)虛擬機(jī)上安裝與本機(jī)應(yīng)用兼容的殺毒軟件，定期管理維護(hù)安全補(bǔ)丁和病毒庫(kù)并查殺病毒。同時(shí)，為了確保虛擬環(huán)境的安全，可以在虛擬環(huán)境中建立安全網(wǎng)段，在網(wǎng)段中部署與物理環(huán)境等量的安全措施，采用支持不同安全等級(jí)、不同硬件分區(qū)的安全防御策略。優(yōu)化虛擬機(jī)的隔離域封裝機(jī)制，并增強(qiáng)內(nèi)存保護(hù)與故障隔離機(jī)制[3]。同時(shí)在運(yùn)行中，嚴(yán)格監(jiān)控和審計(jì)未經(jīng)授權(quán)的訪問及其他操作。

3.2 數(shù)據(jù)安全措施

針對(duì)服務(wù)器虛擬化之后帶來的數(shù)據(jù)安全風(fēng)險(xiǎn)，首先對(duì)數(shù)據(jù)進(jìn)行嚴(yán)格的隔離，確保不同虛擬服務(wù)器的數(shù)據(jù)即使存儲(chǔ)在同一物理存儲(chǔ)設(shè)備上，數(shù)據(jù)之間也是相互獨(dú)立的，一個(gè)服務(wù)器的數(shù)據(jù)遭受攻擊不會(huì)危及其他服務(wù)器的數(shù)據(jù)。其次，對(duì)不同虛擬服務(wù)器的數(shù)據(jù)采用不同的加密算法進(jìn)行加密，對(duì)于安全級(jí)別要求更高的數(shù)據(jù)，在加密的基礎(chǔ)上，結(jié)合數(shù)據(jù)切分、散列存儲(chǔ)等技術(shù)進(jìn)行安全防護(hù)，使攻擊者無法獲取完整的虛擬機(jī)數(shù)據(jù)，即使獲取也無法破解內(nèi)容。經(jīng)過上述安全防護(hù)措施的保護(hù)，數(shù)據(jù)殘留帶來的安全隱患也將被規(guī)避[4]，只需對(duì)存儲(chǔ)數(shù)據(jù)解密秘鑰的存儲(chǔ)空間進(jìn)行多次擦除操作即可。

3.3 安全遷移

針對(duì)虛擬機(jī)動(dòng)態(tài)遷移產(chǎn)生的安全隱患，一種防護(hù)措施是對(duì)遷移數(shù)據(jù)進(jìn)行嚴(yán)格的加密[3]，將傳統(tǒng)欺騙防護(hù)技術(shù)ARP（Address Resolution Protocol）與虛擬機(jī)監(jiān)視器VMM（Virtual Machine Monitor）進(jìn)行融合，以應(yīng)對(duì)遷移中可能發(fā)生的服務(wù)器“劫持”攻擊。另一種安全策略是為虛擬服務(wù)器的動(dòng)態(tài)遷移提供專用網(wǎng)絡(luò)，（1）可以提升動(dòng)態(tài)遷移的性能，使遷移流量不會(huì)和其他網(wǎng)絡(luò)的流量形成競(jìng)爭(zhēng)；（2）使遷移不會(huì)暴露在非專用網(wǎng)段，提升了遷移的安全性。同時(shí)，還應(yīng)加強(qiáng)對(duì)虛擬機(jī)生命周期、身份認(rèn)證和訪問授權(quán)控制的監(jiān)控和管理，防止攻擊者獲取高級(jí)別的授權(quán)。

3.4 有效的補(bǔ)丁管理

服務(wù)器虛擬化之后，需要管理的虛擬機(jī)數(shù)量大幅增長(zhǎng)，補(bǔ)丁的管理和維護(hù)工作越來越繁重，需要制定詳盡的補(bǔ)丁維護(hù)計(jì)劃表，確保能夠及時(shí)有效地對(duì)每個(gè)虛擬機(jī)進(jìn)行各類補(bǔ)丁的更新管理，又不會(huì)對(duì)網(wǎng)絡(luò)平臺(tái)造成太大的負(fù)擔(dān)[4]。目前，微軟和Vmware都提供了虛擬機(jī)補(bǔ)丁自動(dòng)更新功能和離線虛擬機(jī)服務(wù)工具，并為基礎(chǔ)設(shè)施產(chǎn)品提供了補(bǔ)丁管理的時(shí)間表，可以借助這類產(chǎn)品或工具實(shí)現(xiàn)虛擬機(jī)補(bǔ)丁的維護(hù)和管理。對(duì)于保留的重要虛擬機(jī)鏡像，可以定期進(jìn)行系統(tǒng)補(bǔ)丁、安全補(bǔ)丁和病毒庫(kù)的更新[5]，再重新進(jìn)行鏡像存放。

4 結(jié)束語

服務(wù)器虛擬化之后，一些傳統(tǒng)的安全風(fēng)險(xiǎn)并沒有因?yàn)樘摂M機(jī)的產(chǎn)生而規(guī)避，相反，虛擬化改變了原有的網(wǎng)絡(luò)架構(gòu)，帶來了新的安全問題。同時(shí)，云計(jì)算的虛擬化計(jì)算環(huán)境也為虛擬服務(wù)器帶來了新的安全風(fēng)險(xiǎn)。通過分析云計(jì)算環(huán)境下虛擬化服務(wù)器面臨的安全問題及其產(chǎn)生原因，針對(duì)各類問題給出了有效的安全防護(hù)措施。

[1]許洸彧.云計(jì)算環(huán)境下的虛擬化技術(shù)的安全性問題研究[J].信息安全與技術(shù)，2013（9）：47-48.

[2]虛擬化與云計(jì)算小組. IBM-虛擬化與云計(jì)算[M].北京：電子工業(yè)出版社，2009.

[3]郭春梅.服務(wù)器虛擬化技術(shù)及安全研究[C].第26界全國(guó)計(jì)算機(jī)安全學(xué)術(shù)交流會(huì)，2011.

[4]孫志明.服務(wù)器虛擬化安全風(fēng)險(xiǎn)防范措施[J].計(jì)算機(jī)光盤軟件及應(yīng)用，2013（12）：72.

[5]張志國(guó).服務(wù)器虛擬化安全風(fēng)險(xiǎn)及其對(duì)策研究[J].晉中學(xué)院學(xué)報(bào)，2010，27（3）：85.

責(zé)任編輯 方 圓

Security of virtual server in cloud computing

WANG Huanmin1, PEI Huayan2
( 1. Mechatronic Technology Institute, Lanzhou Jiaotong University, Lanzhou 730070, China; 2. Off i ce of Academic Affairs, GanSu Radio and TV University, Lanzhou 730030, China )

The application of system virtualization technology on servers would virtualize multiple virtu al servers on a single physical server and improve the utilization of the physical server. In this paper, the new security risks were analyzed which were brought by cloud computing and virtualization such as network security, data security, information leakage. Valid security protection measures for each security risk were presented, and made contribution to the security of virtual servers in cloud computing.

cloud computing; server virtualization; security

U29∶TP39

A

1005-8451（2014）12-0049-03

2014-07-01

西部鐵路物流管理信息系統(tǒng)平臺(tái)，2011甘肅省高等學(xué)?；究蒲袠I(yè)務(wù)費(fèi)項(xiàng)目，211126；區(qū)域鐵路物流服務(wù)平臺(tái)研發(fā)與應(yīng)用，2012年度國(guó)家科技支撐計(jì)劃項(xiàng)目，2012BAH20F05；新型鐵路機(jī)車智能化無線檢修作業(yè)系統(tǒng) 2013年蘭州市科技計(jì)劃項(xiàng)目，2013-4—118

王煥民，講師；裴華艷，助教。